Aktywnie wykorzystywana w atakach
Apache Kylin OS Command Injection Vulnerability
Apache - Kylin · Figuruje w katalogu CISA KEV od 2022-03-25. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply updates per vendor instructions.
CVE-2020-1956
WysokieCVSS 8.8KEVStreszczenie
Apache Kylin w wersjach 2.3.0, aż do 2.6.5 i 3.0.1 posiada interfejsy REST API, które łączą polecenia systemowe z ciągiem wejściowym użytkownika. Użytkownik może wykonać dowolne polecenie systemowe bez żadnej ochrony lub walidacji.
Ocena ryzyka
Atakujący może wykonać dowolne polecenia systemowe na serwerze, co może prowadzić do pełnego przejęcia kontroli nad systemem i naruszenia poufności, integralności i dostępności danych.
Rekomendacja
Zaktualizuj Apache Kylin do wersji nowszej niż 2.6.5 lub 3.0.1, która zawiera poprawkę tej podatności, oraz ogranicz dostęp do interfejsów REST API.
Inne podatności w Apache Kylin
Zobacz wszystkie- CVE-2026-62392Krytyczne
W Apache Kylin wykryto podatność na wstrzykiwanie poleceń systemu operacyjnego (OS Command Injection). Nieprawidłowa neutralizacja specjalnych elementów w parametrach konfiguracyjnych zadań może pozwolić atakującemu na wykonanie dowolnych poleceń przez backendowe API. Problem dotyczy wersji od 4 do 5.0.3.
- CVE-2026-62390Krytyczne
W Apache Kylin wykryto podatność na iniekcję SQL w API backendu odświeżającym katalog tabel. Atakujący może wstrzyknąć złośliwe zapytanie SQL do generowanego kodu.
- CVE-2026-62393Średnie
W Apache Kylin wykryto podatność polegającą na nieprawidłowym zarządzaniu uprawnieniami podczas pobierania informacji o zadaniach. Atakujący może uzyskać dostęp do nieautoryzowanych zadań w innych projektach.
Oryginalny opis (angielski, źródło NVD)
Apache Kylin 2.3.0, and releases up to 2.6.5 and 3.0.1 has some restful apis which will concatenate os command with the user input string, a user is likely to be able to execute any os command without any protection or validation.